Kişisel Verilerin Korunması ve İşlenmesine İlişkin Aydınlatma Metni

Bu metin tek bir belgede iki yükümlülüğü birden karşılar. Türkiye'de bulunan ilgili kişiler için 6698 sayılı Kanunun 10. maddesi kapsamındaki aydınlatma yükümlülüğünü, Avrupa Birliğinde bulunan ilgili kişiler için 2016/679 sayılı Tüzüğün (GDPR) 13. maddesi kapsamındaki bilgilendirme yükümlülüğünü. Yalnızca Avrupa Birliği mevzuatından doğan haklar ve başvuru yolları için 10. bölüme bakabilirsiniz.

1. Veri sorumlusunun kimliği

İşbu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) uyarınca veri sorumlusu sıfatını haiz Kulular Bilişim Teknolojileri Limited Şirketi (Şirket) tarafından, Kanunun 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümleri çerçevesinde hazırlanmıştır.

• Ticaret unvanı: Kulular Bilişim Teknolojileri Limited Şirketi
• MERSİS numarası: 0591095454600001
• Ticaret sicil numarası: 550123, Ankara Ticaret Sicili Müdürlüğü
• Adres: Kızılırmak Mah. 1450 Sk. Hayat Plaza No: 16 Çankaya / Ankara
• Elektronik posta: [email protected]

Kanunun 3. maddesi uyarınca “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” kişisel veri sayılmaktadır. Bu nedenle Şirkete iletilen form ve mesajlarda, talebinizin gerektirdiğinden fazla kişisel veri paylaşılmaması önemle rica olunur.

Form ve mesajlarda üçüncü bir kişiye ait kişisel veri paylaşılması hâlinde, ilgili kişinin Kanunun 10. maddesi anlamında bilgilendirildiği ve paylaşım için Kanunun 5. maddesi anlamında gerekli hukuki sebebin sağlandığı kabul edilir.

2. İşlenen kişisel veri kategorileri

Şirket tarafından, aşağıda sayılan kanallar üzerinden ve yalnızca belirtilen amaçlarla sınırlı olmak üzere kişisel veri işlenmektedir.

2.1. İletişim formu

• Kimlik verisi: ad ve soyad
• İletişim verisi: elektronik posta adresi
• Mesleki deneyim verisi: bildirilmesi hâlinde kurum adı
• İşlem güvenliği verisi: kötüye kullanımın önlenmesi amacıyla geçici olarak tutulan bağlantı adresi
• Mesaj içeriğinde ilgili kişi tarafından paylaşılan diğer bilgiler

2.2. Çalışma protokolü ekranındaki serbest metin alanı

İnternet sitesinin ana sayfasında yer alan çalışma protokolü ekranında, ilgili kişinin dilerse kendi kurumsal meselesini serbest metin olarak yazabildiği bir alan bulunmaktadır. Bu alana girilen metin, aşağıda 5. bölümde açıklandığı üzere yurt dışında yerleşik hizmet sağlayıcılara aktarılmakta ve otomatik olarak işlenmektedir.

Söz konusu alana kişisel veri, müvekkil bilgisi, ticari sır veya gizlilik yükümlülüğüne tabi bilgi girilmemesi önemle rica olunur. Bu husus, ilgili alanın hemen yanında ayrıca uyarı olarak gösterilmektedir.

2.3. Ziyaretçi istatistiği (Google Analytics)

Site, ziyaretçi istatistiğini ölçmek amacıyla Google Analytics kullanmaktadır. Bu işleme, ilgili kişinin sayfanın altındaki çerez şeridinde açık rıza vermesi hâlinde başlar; rıza verilmediği ya da reddedildiği sürece hiçbir veri işlenmez.

• İşlem güvenliği ve kullanım verisi: ziyaret edilen sayfa, yönlendiren site
• Konum verisi: IP adresinden türetilen yaklaşık konum, IP adresinin kendisi tam olarak saklanmaz
• İşlem güvenliği verisi: yaklaşık cihaz ve tarayıcı türü

Rıza her zaman sayfanın altbilgisindeki "Çerez tercihleri" ile geri alınabilir. Ayrıntı için Çerez Politikası incelenmelidir.

2.4. Elektronik posta yazışmaları ve yapay zekâ ekip üyesi KAI

Şirkete elektronik posta ile gönderilen iletiler, Şirketin yapay zekâ ekip üyesi KAI tarafından da okunmaktadır. KAI, rutin nitelikteki iletileri kendisi yanıtlar ve toplantı planlar. KAI tarafından gönderilen her iletinin imzasında, iletinin bir yapay zekâ sistemi tarafından yazıldığı belirtilir. Rutin dışındaki iletilerde KAI yalnızca taslak hazırlar, iletinin gönderilip gönderilmeyeceğine Şirket ekibi karar verir.

• Kimlik verisi: ad ve soyad
• İletişim verisi: elektronik posta adresi ve iletide yer alıyorsa telefon numarası
• Mesleki deneyim verisi: iletide yer alıyorsa kurum ve unvan bilgisi
• Toplantı planlaması için paylaşılan tarih, saat ve katılımcı bilgisi
• İleti içeriğinde ilgili kişi tarafından paylaşılan diğer bilgiler

Elektronik posta ile özel nitelikli kişisel veri, üçüncü kişilere ait gizli bilgi veya ticari sır gönderilmemesi rica olunur.

3. Kişisel verilerin işlenme amaçları

• İletişim faaliyetlerinin yürütülmesi
• Talep ve şikâyetlerin takibi
• Sözleşme öncesi görüşmelerin yürütülmesi
• Bilgi güvenliği süreçlerinin yürütülmesi ve kötüye kullanımın önlenmesi
• Faaliyetlerin mevzuata uygun yürütülmesi
• Rıza verilmesi hâlinde ziyaretçi istatistiğinin ölçülmesi
• Elektronik posta yazışmalarının yürütülmesi ve toplantıların planlanması

Kişisel veriler, doğrudan pazarlama, profilleme veya reklam amacıyla işlenmemekte, üçüncü kişilere satılmamakta ve devredilmemektedir.

4. Kişisel verilerin işlenmesinin hukuki sebepleri

Kişisel veriler, Kanunun 5. maddesinin ikinci fıkrasında düzenlenen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir.

• Bent (c): Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Bent (ç): Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• Bent (f): İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

Google Analytics ile yapılan ziyaretçi istatistiği ölçümü ise, yukarıda sayılan sebeplere değil, Kanunun 5. maddesinin birinci fıkrası uyarınca ilgili kişinin açık rızasına dayanmaktadır. Bu rıza, sayfanın altındaki çerez şeridi ile alınmakta ve altbilgideki "Çerez tercihleri" ile her zaman geri alınabilmektedir.

Özel nitelikli kişisel veri işlenmesi öngörülmemektedir. Bu nedenle Kanunun 6. maddesi kapsamında bir işleme faaliyeti yürütülmemektedir.

KAI tarafından yürütülen elektronik posta yazışmaları ve toplantı planlaması, yukarıdaki (c) ve (f) bentlerine dayanmaktadır.

5. Kişisel verilerin aktarılması

5.1. Yurt içi aktarım

İletişim formu aracılığıyla iletilen mesajlar, elektronik posta hizmeti sağlayıcısı üzerinden Şirketin kurumsal elektronik posta hesabına iletilmektedir.

5.2. Yurt dışı aktarım

Çalışma protokolü ekranındaki serbest metin alanına girilen metin, analiz edilmesi amacıyla Şirketin sunucusu üzerinden, yurt dışında yerleşik büyük dil modeli hizmet sağlayıcılarına aktarılmaktadır. Alıcı grubu, model erişimini sağlayan aracı hizmet sağlayıcı ile modeli işleten sağlayıcıdan oluşmaktadır. Şirket, hizmet sağlayıcısını dönem dönem değiştirebilmektedir. Aktarımın yapıldığı güncel sağlayıcının ticari unvanı, talep hâlinde ilgili kişiye bildirilmektedir.

Bu aktarım, Kanunun 9. maddesi çerçevesinde ve yalnızca ilgili kişinin anılan alana kendi iradesiyle metin girmesi ve gönderme işlemini gerçekleştirmesi hâlinde yapılmaktadır. Metin, analiz sonucunun üretilmesinin ardından Şirket tarafından kaydedilmemekte ve saklanmamaktadır.

İlgili kişi, anılan alanı kullanmamayı tercih ederek bu aktarımın gerçekleşmesini engelleyebilir. Sitenin diğer tüm işlevleri bu alan kullanılmadan da eksiksiz çalışmaktadır.

Şirkete gönderilen elektronik posta iletileri de, 2.4 bölümünde açıklanan işleme için yurt dışında yerleşik büyük dil modeli hizmet sağlayıcılarına aktarılmaktadır. Alıcı grubu, model erişimini sağlayan aracı hizmet sağlayıcı ile modeli işleten sağlayıcıdan oluşmaktadır. Aktarımın yapıldığı güncel sağlayıcıların ticari unvanları, talep hâlinde ilgili kişiye bildirilmektedir. Bu aktarım, Kanunun 9. maddesinde öngörülen şartlara uygun olarak gerçekleştirilmektedir.

5.3. Google Analytics aktarımı

İlgili kişi 2.3 bölümünde açıklanan çerez şeridinde açık rıza verdiğinde, ziyaretçi istatistiği verisi Google Ireland Limited tarafından işlenmektedir. Google'ın Avrupa Birliği dışına aktarım için dayandığı hukuki çerçeve Google'ın kendi gizlilik politikasında açıklanmaktadır. Rıza verilmediği sürece bu aktarım gerçekleşmez.

5.4. Yetkili kurum ve kuruluşlara aktarım

Kişisel veriler, kanunlarda açıkça öngörülmesi veya yetkili kamu kurum ve kuruluşlarınca hukuka uygun biçimde talep edilmesi hâlinde, yalnızca talebin kapsamıyla sınırlı olarak ilgili kurum ve kuruluşlara aktarılabilir. Bunun dışında kişisel veriler üçüncü kişilere satılmaz, pazarlama amacıyla paylaşılmaz ve devredilmez.

6. Kişisel verilerin saklanma süreleri

• İletişim formu kayıtları: talebin sonuçlanmasından itibaren azami iki yıl
• İşlem güvenliği amacıyla tutulan bağlantı adresi: azami yirmi dört saat
• Çalışma protokolü serbest metin alanı: kalıcı olarak saklanmamaktadır
• Google Analytics ziyaretçi verisi: Google Analytics hesap ayarlarında belirlenen süre, azami on dört ay
• Elektronik posta yazışmaları: talebin sonuçlanmasından itibaren azami iki yıl

Saklama süresinin sona ermesi hâlinde kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri uyarınca silinmekte, yok edilmekte veya anonim hâle getirilmektedir.

7. Kişisel verilerin toplanma yöntemi

Kişisel veriler, internet sitesi üzerinden elektronik ortamda, ilgili kişinin kendi beyanı ile ve kısmen otomatik yollarla toplanmaktadır.

Elektronik posta yazışmalarına ilişkin veriler, ilgili kişinin Şirkete gönderdiği iletiler aracılığıyla toplanmakta ve 2.4 bölümünde açıklandığı üzere kısmen otomatik yollarla işlenmektedir.

8. İlgili kişinin hakları

İlgili kişi, Kanunun 11. maddesi uyarınca veri sorumlusuna başvurarak aşağıdaki haklarını kullanabilir.

• Kişisel verisinin işlenip işlenmediğini öğrenme
• Kişisel verisi işlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verisinin aktarıldığı üçüncü kişileri bilme
• Kişisel verisinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
• Kanunun 7. maddesinde öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok edilme işlemlerinin kişisel verisinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

9. Başvuru usulü

İlgili kişi, Kanunun 13. maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca taleplerini yazılı olarak veya kayıtlı elektronik posta adresi, güvenli elektronik imza, mobil imza ya da daha önce Şirkete bildirilen ve sistemde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle iletebilir.

Başvurular [email protected] adresine veya Kızılırmak Mah. 1450 Sk. Hayat Plaza No: 16 Çankaya / Ankara adresine yapılabilir. Şirket, talebi niteliğine göre en kısa sürede ve her hâlükârda en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.

10. Avrupa Birliğinde bulunan ilgili kişiler için ek bilgilendirme

Şirket Türkiye’de yerleşiktir ve kişisel verileri esas olarak 6698 sayılı Kanun çerçevesinde işler. Bununla birlikte, Avrupa Birliğinde bulunan ilgili kişilerin verileri bakımından 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) uygulanabilir. Bu bölüm, yukarıdaki açıklamalara ek olarak GDPR kapsamındaki bilgileri içerir; çelişki hâlinde ilgili kişi bakımından daha koruyucu olan hüküm uygulanır.

10.1. İşlemenin hukuki sebepleri

• İletişim formu: GDPR m.6/1-b (talep üzerine sözleşme öncesi adımlar) ve m.6/1-f (meşru menfaat: gelen taleplere cevap verilmesi).
• İşlem güvenliği kaydı: GDPR m.6/1-f (meşru menfaat: kötüye kullanımın ve otomatik gönderimlerin önlenmesi).
• Çalışma protokolü ekranındaki serbest metin alanı: GDPR m.6/1-a (açık rıza). Rıza, metnin gönderilmesiyle verilir ve alan kullanılmayarak her zaman geri alınabilir; geri alma, o ana kadarki işlemenin hukuka uygunluğunu etkilemez.
• Hukuki yükümlülüklerin yerine getirilmesi: GDPR m.6/1-c.
• Elektronik posta yazışmaları ve toplantı planlaması: GDPR m.6/1-b (talep üzerine sözleşme öncesi adımlar) ve m.6/1-f (meşru menfaat: gelen iletilere zamanında cevap verilmesi).

10.2. Yurt dışına aktarım ve güvenceler

Yukarıda 5.2 bölümünde açıklanan aktarım, Avrupa Ekonomik Alanı dışına yapılan bir aktarım niteliği taşıyabilir. Şirket bu aktarımı, ilgili kişinin GDPR m.49/1-a anlamındaki açık rızasına dayanarak ve yalnızca söz konusu alanın kullanılması hâlinde gerçekleştirir. Hizmet sağlayıcılarıyla, uygulanabilir olduğu ölçüde Avrupa Komisyonunun standart sözleşme hükümleri esas alınır. İlgili kişi bu alanı kullanmayarak aktarımın hiç gerçekleşmemesini sağlayabilir.

5.2 bölümünde açıklanan elektronik posta aktarımı da Avrupa Ekonomik Alanı dışına yapılan bir aktarım niteliği taşıyabilir. Bu aktarım, GDPR’ın V. bölümünde öngörülen güvencelerden birine dayanılarak gerçekleştirilir.

10.3. GDPR kapsamındaki haklar

Yukarıda 8. bölümde sayılan hakların yanı sıra, GDPR kapsamındaki ilgili kişiler aşağıdaki haklara sahiptir.

• İşlemenin kısıtlanmasını isteme (m.18).
• Veri taşınabilirliği: kendisine ilişkin verileri yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir biçimde alma (m.20).
• Meşru menfaate dayanan işlemeye, kendi özel durumundan kaynaklanan sebeplerle itiraz etme (m.21).
• Rızaya dayanan işlemede rızayı her zaman geri alma (m.7/3).
• Bir denetim makamına şikâyette bulunma (m.77). İlgili kişi, mutat meskeninin, çalışma yerinin veya ihlalin gerçekleştiği yerin bulunduğu üye devletin veri koruma otoritesine başvurabilir.

10.4. Otomatik karar ve profilleme

Şirket, GDPR m.22 anlamında hukuki sonuç doğuran veya benzer biçimde önemli ölçüde etkileyen, yalnızca otomatik işlemeye dayalı karar almamaktadır. Çalışma protokolü ekranındaki analiz çıktısı bir taslak niteliğindedir, kişi hakkında bir karar üretmez.

KAI tarafından rutin iletilere verilen cevaplar ve planlanan toplantılar, ilgili kişi hakkında hukuki sonuç doğuran veya onu benzer biçimde önemli ölçüde etkileyen bir karar niteliği taşımaz. KAI tarafından gönderilen her iletinin yapay zekâ tarafından yazıldığının imzada belirtilmesi, Avrupa Birliğinde bulunan ilgili kişiler bakımından 2024/1689 sayılı Yapay Zekâ Tüzüğünün 50. maddesindeki şeffaflık yükümlülüğü kapsamında yapılmaktadır.

10.5. Veri sağlama zorunluluğu

Kişisel veri sağlanması kanuni veya sözleşmesel bir zorunluluk değildir. İletişim formundaki alanların doldurulması, yalnızca talebe cevap verilebilmesi için gereklidir; verilmemesi hâlinde tek sonuç, Şirketin geri dönüş yapamamasıdır.

11. Değişiklikler

Şirket, işbu aydınlatma metnini mevzuat değişiklikleri ve faaliyetlerinde meydana gelen gelişmeler doğrultusunda güncelleme hakkını saklı tutar. Güncel metin bu sayfada yayımlanır ve yürürlük tarihi metnin başında belirtilir.